Er telefonnummer personopplysninger etter GDPR, og hva må bedriften gjøre?

Derfor er telefonnummer en personopplysning

Datatilsynet beskriver personopplysninger som alle opplysninger og vurderinger som kan knyttes til en enkeltperson. Telefonnummer nevnes blant de typiske eksemplene, sammen med navn, adresse, e-post og fødselsnummer. Det er koblingen til en identifiserbar person som avgjør, ikke om nummeret er hemmelig.

NHO Arbin formulerer det samme tydelig: opplysninger er personopplysninger selv om de verken er hemmelige eller regnes som private. Kan man finne en persons telefonnummer i en telefonkatalog eller på en nettside, er det like fullt en personopplysning. Mange tror at et nummer som ligger åpent, står fritt til bruk. Det stemmer ikke.

Motsatt faller anonyme opplysninger utenfor. Opplysninger som ikke kan knyttes til en identifisert eller identifiserbar person, for eksempel statistikk uten enkeltpersoner bak, er ikke personopplysninger. En liste med telefonnumre er det. Den juridiske definisjonen står i GDPR artikkel 4 om definisjoner.

Offentlig tilgjengelig er ikke det samme som lov til å bruke

At nummeret ligger i en katalog eller på en nettside, endrer ikke om det er en personopplysning. Det endrer heller ikke hvilke regler som gjelder når du samler nummeret inn i en kundeliste, en ringeliste eller et markedsføringssystem. For bakgrunn kan du lese om når GDPR trådte i kraft.

Hver behandling trenger et behandlingsgrunnlag etter GDPR artikkel 6. Det kan være avtale med kunden, rettslig forpliktelse, samtykke eller berettiget interesse. Poenget er at du må kunne peke på hvorfor du har nummeret, ikke bare hvor du fant det.

Et praktisk eksempel: Du får en telefon fra noen som spør om pris. Du kan bruke nummeret til å svare på henvendelsen. Å legge det samme nummeret i en markedsføringsliste er en ny behandling med et annet formål, og den trenger sitt eget grunnlag.

Hva du må ha på plass når nummeret havner i systemene

Når du samler inn telefonnummer via skjema, telefon, kassasystem eller booking, skal den det gjelder få vite hvem som behandler opplysningene, hvorfor og hvor lenge de lagres. Skjemaer på nettstedet er ofte det første stedet nummeret registreres, og det er verdt å se på hvordan de er satt opp, se Nettsagas tjeneste for nettside.

Du er også ansvarlig for leverandørene som ser nummeret. Telefoniløsning, CRM, regnskapssystem, nettbutikkplattform og e-postverktøy behandler opplysninger på dine vegne, og du må ha en databehandleravtale med dem. Vet du ikke hvor nummeret havner, har du heller ikke kontroll.

Tilgang bør begrenses til dem som faktisk trenger nummeret i jobben. En håndverker trenger kanskje nummeret til kunden sin, men ikke hele kunderegisteret. En felles delt mappe uten tilgangsstyring er en vanlig og unødvendig risiko.

Lagring og sletting: hvor lenge skal nummeret ligge?

Telefonnummer skal ikke lagres lenger enn nødvendig for formålet. Et nummer fra en avsluttet henvendelse som aldri ble en kunde, har sjelden grunn til å bli liggende i årevis. Lag en rutine for hva som slettes, når og av hvem. Vi har skrevet mer om hvordan i sletting og makulering av personopplysninger.

En enkel arbeidsmåte: kartlegg hvor numre finnes, fra nettbutikk og skjema til selgeres mobiler og e-post. Vurder for hvert sted hvilket formål det tjener, rydd bort det som ikke har et formål, og dokumenter vurderingen kort. Skriv ned hvem som har tilgang og hvordan nummeret sikres, slik at svaret er klart den dagen noen spør.

Husk at den registrerte har rettigheter. Ber noen om innsyn i hvilke opplysninger du har om dem, inngår telefonnummeret. Ber noen om sletting, må du vurdere det mot grunnlaget du har. En ryddig praksis gjør begge deler enklere.

Når telefonnummeret sier mer enn det burde

Telefonnummer er i utgangspunktet en alminnelig personopplysning, ikke en særlig kategori. Men sammenhengen kan endre dette. En kundeliste der numrene er koblet til opplysninger om helse, religion eller andre forhold, inneholder sensitive opplysninger og krever mer. Les mer om sensitive personopplysninger etter GDPR.

De vanligste feilene vi ser, er å samle alle numre på ett sted uten formål, å gjenbruke nummeret fra en henvendelse til markedsføring uten grunnlag, og å la gamle lister bli liggende fordi det kan være nyttig senere. Alle tre gjør det vanskeligere å svare på hvorfor du har opplysningene.

Skal du rydde i skjemaer, samtykketekster og hvordan nummeret lagres på nettstedet, kan det være greit å få en gjennomgang av oppsettet. Nettsaga bygger nettsider der personvern og behandlingsgrunnlag er en del av grunnmuren, og du kan book en demo for å se hvordan det gjøres i praksis.

Kort oppsummert

Telefonnummer er en personopplysning, uansett om det er hemmelig eller offentlig. Det du trenger å ha svar på, er hvorfor nummeret er lagret, hvem som ser det, hvor lenge det skal ligge og hva som skjer når noen ber om innsyn eller sletting.

For en liten bedrift er det ofte nok å starte med tre grep: rydd i skjemaene der nummeret kommer inn, begrens tilgangen i systemene, og sett en fast rutine for opprydding. Da er mye av arbeidet gjort før noen spør.

Vanlige spørsmål

Er telefonnummer alene en personopplysning?

Ja, når det kan knyttes til en identifisert eller identifiserbar person. Det gjelder også nummer som ligger åpent i en telefonkatalog eller på en nettside.

Er telefonnummer en sensitiv personopplysning?

Normalt ikke. Et telefonnummer er en alminnelig personopplysning, men kan inngå i sammenhenger som avdekker særlige kategorier, og da gjelder strengere krav.

Må jeg ha samtykke for å lagre telefonnummer?

Ikke nødvendigvis. Samtykke er ett av flere mulige behandlingsgrunnlag. Du kan også bygge på avtale, rettslig forpliktelse eller berettiget interesse, men du må kunne vise hvilket grunnlag du bruker.

Hvor lenge kan jeg lagre telefonnummeret til en kunde?

Så lenge det er nødvendig for formålet med behandlingen. Når formålet er oppfylt, skal nummeret slettes. Dokumenter vurderingen og ha en fast rutine for opprydding.

Gjelder GDPR for telefonnummer jeg har i mobilen min?

Ja, når nummeret brukes som del av virksomheten og kan knyttes til en person. Det avgjørende er om nummeret behandles i jobbsammenheng, ikke hvilken enhet det ligger på.